E’ notizia di questi giorni, pubblicata dal team di sicurezza Tecent Blade, di una nuova vulnerabilità soprannominata “Magellan“.
Questa colpisce i database SQLite e, con essi miliardi di applicazioni che li utilizzano:
Magellan is a remote code execution vulnerability discovered by Tencent Blade Team that exists in SQLite. As a well-known database, SQLite is widely used in all modern mainstream operating systems and software, so this vulnerability has a wide range of influence.
Magellan è una vulnerabilità per l’esecuzione di codice da remoto presente in SQLite scoperta dal team Tecent Blade. Essendo un database molto conosciuto, SQLite è largamente utilizzato in tutti i sistemi operativi ed i software moderni, quindi questa vulnerabilità ha un’influenza molto ampia
Data la sua natura molto leggera, e grazie alla capacità di implementare un piccolo database SQL, molti l’hanno utilizzata, tant’è che è possibile trovare questa libreria su applicazioni per Windows, su smartphone Android e non e pure su diversi sistemi di IoT.
Peggio ancora, pare che lo stesso progetto Chromium utilizzi al suo interno questa libreria e, di conseguenza, un intero ventaglio di browser risulta affetto da questa vulnerabilità, partendo dall’ovvio Google Chrome, fino ad arrivare a browser minori com Opera, Vivaldi e Brave.
Tutti questi risultano vulnerabili tramite l’utilizzo di una semplice pagina web costruita ad hoc: gli utenti che accedono a questa pagina usando un browser Chromium-base possono essere facilmente presi di mira.
Fortunatamente è già pronto il rimedio, e la versione 3.26.0 di SQLite risolve il problema, come anche Chromium 71.0.3578.80, che ha portato i browser Chrome e Brave ad essere già sistemati.
Attualmente il team non ha rilasciato grossi dettagli, ma siamo sicuri che appena la user-base si sia un pochino adattata vedremo girare dei proof-of-concept che sfruttano la vulnerabilità.
La soluzione: come sempre aggiornare, aggiornare ed aggiornare.
Utente Linux/Unix da più di 20 anni, cerco sempre di condividere il mio know-how; occasionalmente, litigo con lo sviluppatore di Postfix e risolvo piccoli bug in GNOME. Adoro tutto ciò che può essere automatizzato e reso dinamico, l’HA e l’universo container. Autore dal 2011, provo a condividere quei piccoli tips&tricks che migliorano il lavoro e la giornata.
Lascia un commento